Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand und Dauer

(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch frimalo (KI-Kompass), Inhaber Steffen Hefter, Wilhelm-Schrader-Str. 27a, 06120 Halle (Saale), E-Mail: ki-kompass@derhefter.com (nachfolgend „Auftragsverarbeiter“) im Auftrag des Kunden, der ein Team- oder Enterprise-Paket des Online-Kurses „KI-Führerschein“ gebucht hat (nachfolgend „Verantwortlicher“).

(2) Die Laufzeit entspricht der Laufzeit des gebuchten Kurszugangs zuzüglich der Zeit, in der Teilnahme- und Abschlussdaten auf Wunsch des Verantwortlichen für den Firmen-Nachweis gespeichert bleiben (§ 9).

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Zweck: Bereitstellung des Online-Kurses, Erfassung des Lernfortschritts, Ausstellung von Teilnahme-Zertifikaten und des Firmen-Nachweises, Versand der zugehörigen E-Mails sowie die Team-Verwaltung für den Verantwortlichen.

(2) Art der Daten: Vor- und Nachname, E-Mail-Adresse, Zugehörigkeit zur Firma (Zugangscode), Zeitpunkt des ersten Zugriffs, bestandene Modul-Quizze (nur das Ergebnis „bestanden“), Abschlussdatum und Zertifikat-Nummer, Sprache des Kursraums, gekürzte und nicht umkehrbare Kennungen der Netze, aus denen der Kurs abgerufen wird (nur zur Missbrauchserkennung, 30 Tage).

(3) Betroffene Personen: Beschäftigte, Mitglieder oder sonstige vom Verantwortlichen zur Teilnahme eingeladene Personen.

§ 3 Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen; diese ergibt sich aus der Leistungsbeschreibung, diesem Vertrag und Einzelweisungen in Textform (z. B. per E-Mail). Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft insbesondere folgende Maßnahmen: Betrieb auf Servern in Deutschland in einem nach ISO/IEC 27001 zertifizierten Rechenzentrum; Verschlüsselung aller Verbindungen (TLS); Zugriff auf die Verwaltung nur mit persönlichem Login und signierten Tokens; Trennung der Daten je Firma (Zugriff nur mit dem Code der jeweiligen Firma, Team-Verwaltung nur mit gesondertem Admin-Code); persönliche Kurs-Links mit Bestätigung der E-Mail-Adresse; Begrenzung von Anfragen gegen Missbrauch; regelmäßige Datensicherungen; Protokollierung sicherheitsrelevanter Vorgänge und aller Datenschutz-Aktionen (Hinzufügen, Entfernen, Berichtigen, Löschen, Export); regelmäßige Datensicherung (täglich), vor der Übertragung mit AES-256 verschlüsselt. Die Maßnahmen im Einzelnen stehen in der Anlage „Technische und organisatorische Maßnahmen“; sie werden dem Stand der Technik angepasst, ohne das Schutzniveau zu senken.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Hosting, Datenbank und verschlüsselte Datensicherung, Rechenzentren in Deutschland); STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin (Versand der E-Mails).

(2) Über beabsichtigte Änderungen informiert der Auftragsverarbeiter vorab in Textform; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Mit jedem Unterauftragsverarbeiter besteht ein Vertrag nach Art. 28 Abs. 4 DSGVO.

§ 7 Rechte der betroffenen Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit). Wendet sich eine betroffene Person direkt an ihn, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter. Die Team-Verwaltung erlaubt dem Verantwortlichen, Personen selbst zu entfernen.

§ 8 Unterstützungs- und Meldepflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei den Pflichten aus Art. 32 bis 36 DSGVO. Verletzungen des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich nach Kenntnis, mit den zu diesem Zeitpunkt verfügbaren Angaben nach Art. 33 Abs. 3 DSGVO.

§ 9 Löschung und Rückgabe

Nach Ende der Leistung löscht der Auftragsverarbeiter die personenbezogenen Daten nach Wahl des Verantwortlichen oder gibt sie zurück (z. B. als Teilnehmerliste mit Abschlussdaten), soweit keine gesetzliche Pflicht zur Speicherung besteht. Ohne abweichende Weisung bleiben Teilnahme- und Abschlussdaten gespeichert, damit der Firmen-Nachweis abrufbar bleibt, bis der Verantwortliche die Löschung verlangt. Gelöscht wird durch Entfernen bzw. unumkehrbares Anonymisieren von Name und E-Mail-Adresse. Verschlüsselte Datensicherungen werden nach spätestens 12 Monaten überschrieben; wird eine Sicherung wiederhergestellt, werden alle seitdem protokollierten Löschungen erneut ausgeführt.

§ 10 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglicht Überprüfungen nach vorheriger Abstimmung in angemessenem Umfang.

§ 11 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Zulässigkeit der Verarbeitung und die Information der betroffenen Personen verantwortlich. Er gibt den Zugangscode nur an zur Teilnahme berechtigte Personen weiter und hält den Admin-Code der Team-Verwaltung geheim.

§ 12 Zustandekommen und Schlussbestimmungen

(1) Dieser Vertrag gilt mit der Buchung eines Team- oder Enterprise-Pakets als vereinbart. Eine unterschriebene Fassung stellt der Auftragsverarbeiter auf Wunsch zur Verfügung (ki-kompass@derhefter.com).

(2) Bei Widersprüchen geht dieser Vertrag hinsichtlich des Datenschutzes den AGB vor. Es gilt deutsches Recht.

Vertraulichkeit – Zutritt und Zugang

Server bei Hetzner Online GmbH in Rechenzentren in Deutschland (ISO/IEC 27001), physischer Zutritt nur durch Hetzner-Personal. Administrativer Zugang zum Server und zur Verwaltung der Anwendung (Coolify) ausschließlich für den Betreiber, jeweils mit eigenem Login.

Vertraulichkeit – Zugriff und Trennung

Verwaltungsbereich nur mit Passwort und zeitlich begrenztem, signiertem Token. Teilnehmende sehen nur ihre eigenen Inhalte über einen persönlichen, signierten Link nach Bestätigung der E-Mail-Adresse. Daten verschiedener Firmen sind über den Zugangscode getrennt; die Team-Verwaltung einer Firma ist zusätzlich mit einem eigenen Admin-Code geschützt. Der Link zum Firmen-Nachweis enthält den Zugangscode nur verschlüsselt.

Integrität – Übertragung und Eingabe

Alle Verbindungen ausschließlich verschlüsselt (TLS). Quiz-Ergebnisse werden serverseitig bewertet. Datenschutz-Aktionen im Verwaltungsbereich (Hinzufügen, Entfernen, Berichtigen, Löschen, Export, Auskunft) werden mit Zeitpunkt protokolliert.

Verfügbarkeit und Belastbarkeit

Regelmäßige (tägliche) Datensicherung der Datenbank, vor dem Upload mit AES-256-GCM verschlüsselt, Aufbewahrung höchstens 12 Monate; regelmäßige Wiederherstellungsproben. Überwachung der Erreichbarkeit mit Alarmierung. Begrenzung von Anfragen gegen Missbrauch und Überlastung.

Verfahren zur regelmäßigen Überprüfung

Jährliche Überprüfung dieser Maßnahmen und der Unterauftragsverarbeiter; Wiederherstellungsprobe mindestens jährlich; Sicherheitsprüfungen bei größeren Änderungen. Datenschutzvorfälle werden nach festem Ablauf bewertet, dokumentiert und den Verantwortlichen unverzüglich gemeldet.